PHP2Shell là gì?
PHP2Shell gồm CVE-2026-109618 và CVE-2026-109619, lỗi bộ nhớ trong PHP với CVSS v4.0 9,2. Đã chứng minh thực thi mã không xác thực và rò rỉ bộ nhớ. PHP phát hành sửa lỗi ngày 21/10/2026. Đây không chỉ là lỗi của một CMS.
Môi trường nào cần kiểm tra?
Cập nhật mọi PHP Web: FPM, mod_php, php-cgi, FrankenPHP và LiteSpeed. WordPress, Drupal, Joomla, MediaWiki, Laravel và ứng dụng riêng đều kế thừa rủi ro. Bao gồm bảng quản trị, thiết bị, thử nghiệm và container. Cập nhật ứng dụng không thay PHP.
FPM có được miễn không?
Không. FPM dừng tiến trình con khi khởi động yêu cầu thất bại, chặn một số chuỗi ban đầu. Các đường trong ứng dụng và giữa yêu cầu vẫn còn. Không phải mọi môi trường giống mod_php, nhưng FPM vẫn cần vá.
PHP 8.1 và cũ hơn
Không có phát hành PHP thông thường. Backport nguồn tối thiểu 7.4, 8.0 và 8.1 là ngoại lệ; dựng và kiểm chứng thuộc người vận hành. OS hoặc LTS có thể duy trì gói. Nghiên cứu từ 5.4 với điều kiện khác nhau. Lên kế hoạch chuyển và kiểm tra vá tạm.
Hiểu PHP2Shell bằng lời dễ hiểu
PHP là động cơ chạy WordPress, Laravel và plugin. Cập nhật plugin không cập nhật PHP. Hai lỗi bộ nhớ có thể biến dọn dẹp yêu cầu bất thường thành rò rỉ hoặc thực thi mã. Kiểm tra công khai chỉ cho dấu hiệu; quản trị viên phải xác nhận runtime Web và bản vá thật.
Công cụ PHP2Shell →Bằng chứng theo môi trường PHP
| Môi trường | CVE-2026-109618 ↗ | CVE-2026-109619 ↗ |
|---|---|---|
| Apache mod_php | Đã chứng minh RCE | Đã chứng minh RCE |
| PHP-FPM | Rủi ro tùy ứng dụng; chưa chứng minh khai thác FPM đầy đủ cho CVE này | Đã chứng minh RCE qua đường ứng dụng phù hợp |
Cũng cập nhật php-cgi, FrankenPHP và LiteSpeed. PHP khuyến nghị cập nhật mọi cài đặt Web. Bảng phân biệt đường đã chứng minh với mức phơi nhiễm chung.